Pendrive infectado (Solucionado)

paolamurias · #1 (**permalink**) 28/07/2008, 20:18

Hola amigos, los vengo a visitar por estos lados porque hoy vino un cliente a traerme datos en un pen drive, y mientras los estaba traspasando, me dice....
-sabes que tengo la máquina infectada? ya con el pen le maté la máquina a mi novia. Espero haberla desbichado bien

Mientras yo oía y se me empezaba a desencajar la cara, empieza a saltarme el NOD32 y puse todo (troyanos) en cuarentena. Que después eliminé.

Pasé el kasperky online y me saltaron bichitos nuevos y otros que supongo ya residían.
La cuestión que los escaneo con el nOD pero los de system 32 me dice el archivo está bloqueado
¡que hago?????????

(aparet de matar a mi cliente)

aca va el reporte del kasperky

Cita:

--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7 REPORT
Monday, July 28, 2008
Operating System: Microsoft Windows XP Professional Service Pack 2 (build 2600)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Monday, July 28, 2008 23:24:45
Records in database: 1018432
--------------------------------------------------------------------------------

Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes

Scan area - My Computer:
C:\
D:\
E:\
F:\
G:\

Scan statistics:
Files scanned: 132225
Threat name: 6
Infected objects: 14
Suspicious objects: 0
Duration of the scan: 02:19:02

File name / Threat name / Threats count
C:\WINDOWS\system32\csrcs.exe/C:\WINDOWS\system32\csrcs.exe Infected:

Trojan-Banker.Win32.Banker.qld 1
C:\Documents and Settings\Administrador\Datos de

programa\Thunderbird\Profiles\k8rr9x1u.default\Mai l\encuentrom00.encuentrodemusicos.com.ar\Inbox

Infected: Trojan-Clicker.HTML.Agent.ag 5
C:\Documents and Settings\Administrador\Datos de

programa\Thunderbird\Profiles\k8rr9x1u.default\Mai l\encuentrom00.encuentrodemusicos.com.ar\Trash

Infected: Trojan-Clicker.HTML.Agent.ag 1
C:\WINDOWS\system32\closeapp.exe Infected: not-a-virus:RiskTool.Win32.CloseApp.e 1
C:\WINDOWS\system32\cmdow.exe Infected: not-a-virus:RiskTool.Win32.HideWindows 1
C:\WINDOWS\system32\csrcs.exe Infected: Trojan-Banker.Win32.Banker.qld 1
C:\WINDOWS\system32\vimc.exe Infected: not-a-virus:RiskTool.Win32.CloseApp.e 1
D:\Incoming\ebook\Unique eBooks help you to learn interior decorating faster than ever - decorating

home room interior awaken designer collection window step furniture.exe Infected: Trojan.Win32.Delf.ys

1
D:\plugins\May 10, 2007 Free Action Plug-in Included A Must Have for Photoshop Artists Photoshop

Watercolor Secrets Revealed by Ben Morales-Correa A.exe Infected: Trojan-Clicker.Win32.Delf.ih 1

The selected area was scanned.

PosicionamientoSeo · #2 (**permalink**) 28/07/2008, 21:01

Hola Pao

Un desastre lo del pendrive, pero bueno son cosas que pasan.

Lo único cierto en este caso es resguardar bien los datos relevantes en primera instancia, uno nunca sabe con que nuevos ataques puede recibir nuestro ordenador.

Primer paso, actualiza el Nod32 y realiza un full scan al PC, supongo que esto ya lo has realizado. Como segunda instancia debes asegurarte de no tener Spywares, una herramienta muy efectiva para eliminarlos es el galardonado Ad-Aware.

Con esto tenemos un primer resultado a la vista, habrás desinfectado aparentemente cualquier tipo de amenaza, pero para asegurarnos debemos utilizar alguna herramienta online de detección, en mi caso te recomiento Panda ActiveScan. A través de esa herramienta obtendrás un completo reporte de tu Pc.

Para finalizar si los resultados son satisfactorios recuerda mantener en alta siempre tus herramientas de seguridad (Antivirus+Antispyware+Firewall), en especial el Firewall, barrera indispensable contra posibles infecciones.

Un saludo, cualquier cosa me avisas que te asesoro,
Gabriel

ThePro · #3 (**permalink**) 29/07/2008, 07:07

tambien lo que podes hacer es correr el nod en modo seguro y ahi escanearlo si tenes el nod32 3.0 te preguntaria si lo queres escanear apenas lo corres (no se va a correr solo) y pones si y te abre una ventana DOS y te corre solo :D

Gpastor · #4 (**permalink**) 29/07/2008, 10:27

Hola paola, además de lo que te bien te han recomendado, te recomiendo que utilices herramientas mas potentes para este caso, ya que este tipo de infecciones no solo suele basarse en archivos ejecutables, también manejan entradas de registro, librerías, etc que algunos antivirus no detectan.

Si luego de seguir los pasos que te han recomendado el problema persiste sigue estos pasos:

Descarga, actualiza y ejecuta el programa:

Malwarebyte’s AntiMalwares

Descarga CCleaner y ejecútalo usando primero su opción de "Limpiador" para borrar cookies, temporales de Internet y todos los archivos que este te muestre como obsoletos, y luego usa su opción de "Registro" para limpiar todo el registro de Windows (haciendo copia de seguridad).

- Descarga la herramienta ComboFix.exe y guárdala en el escritorio.

Desactiva temporalmente el Antivirus y/o Antispyware.
Cierra todas las ventanas abiertas.
Haz doble clic al archivo ComboFix.exe y sigue las instrucciones.
Cuando termine, generará un registro en C:\ComboFix.txt.
- *Nota* Mientras CF este trabajando no mover el mouse ya que pararía su proceso.
- *Nota* ComboFix puede reiniciar automáticamente el PC para completar el proceso de eliminación.

Cita:

Atención!! No use ComboFix a menos que se le haya indicado específicamente en su mensaje por un integrante de nuestro Staff. Es una herramienta de gran alcance destinada por su creador a ser usada bajo la orientación y supervisión de un experto, no para uso privado. El uso de ComboFix incorrectamente podría generar problemas en su sistema. Por favor, lea las "Negaciones de la Garantía" de ComboFix.

Reinicia y pega el reporte de C:\ComboFix.txt en este mismo mensaje.

Saludos

paolamurias · #5 (**permalink**) 29/07/2008, 12:04

Gracias chicos, le pasé el ewido y me sacó unos cuantos, el ad aware y el nod (analisis profundo) también.
A la tarde lo escaneo de nuevo con el kasperky a ver que me tira.
y hago lo que me recetó Gpastor
con ese combo fix que parece esos remedios peligrosos que te hacen firmar un acuerdo en la farmacia!!!!!!

ThePro · #6 (**permalink**) 29/07/2008, 14:36

que suerte que lo del nod te ayudo :D

paolamurias · #7 (**permalink**) 29/07/2008, 16:59

Y sigo.....
Ya le pase el Malwarebyte’s AntiMalwares y me sacó otro bichín.
Se ve que ya tenía bastantes dando vuelta.

Les copié el cartel que me muestra el NOD32 cada vez que abro el firefox (v 3)

Cita:

Imon
archivo:
http://prologo. web1000.com/mam.dat

Código malicioso:
variante modificada de Win32/Packed.Themida aplicación

y le doy a abortar siempre.

PosicionamientoSeo · #8 (**permalink**) 29/07/2008, 17:18

Si Pao, no creo que todos estas infecciones sean producto del pendrive solo, en mi caso te recomiendo enormemente utilizar el Firewall ZoneAlarm Free Edition, es uno de los mejores y reemplaza al tan básico Firewall de Windows.

Con ese firewall ya vas a tener una excelente protección y filtro de software malicioso, luego debes conservar el Nod32 siempre actualizado, el Ad-Aware como antispyware (periodicamente realiza analisis del sistema completo) y por último el sistema operativo actualizado, con todas las actualizaciones al dia.

Yo en lo personal no recomiendo utilizar y meterle demasiados programas de seguridad en la pc, constituyen un riesgo ya que tocan archivos indispensables del sistema, con lo cual con los tres programas mencionados anteriormente ya lograrás manterner la pc a salvo.

Las herramientas mencionadas por Gpastor son muy útiles, de hecho te ha quitado una infección, ahora sólo queda tomar medidas para que no vuelvan a ocurrir imprevistos en la pc.

Por último Pao recordá siempre realizar un backup antes de utilizar herramientas que tocan archivos de sistema como software de seguridad avanzado.

Un saludo,
Gabriel

Gpastor · #9 (**permalink**) 29/07/2008, 18:17

Cita:

Iniciado por paolamurias

A la tarde lo escaneo de nuevo con el kasperky a ver que me tira.
y hago lo que me recetó Gpastor
con ese combo fix que parece esos remedios peligrosos que te hacen firmar un acuerdo en la farmacia!!!!!!

jeje en realidad la advertencia de ComboFix es para que no sea utilizado sin asesoramiento, es una herramienta potente, siempre y cuando se utilice de manera adecuada

paolamurias · #10 (**permalink**) 29/07/2008, 18:58

Ok, pase el combo fix y no se reinició sola, tardó unos 5 minutos y aca adjunto el reporte

combo fixArchivo Adjunto 427

ThePro · #11 (**permalink**) 29/07/2008, 19:35

Cita:

Iniciado por paolamurias

Y sigo.....
Ya le pase el Malwarebyte’s AntiMalwares y me sacó otro bichín.
Se ve que ya tenía bastantes dando vuelta.

Les copié el cartel que me muestra el NOD32 cada vez que abro el firefox (v 3)

Cita:

Imon
archivo:
http://prologo. web1000.com/mam.dat

Código malicioso:
variante modificada de Win32/Packed.Themida aplicación

y le doy a abortar siempre.

reporte el sitio :D

Gpastor · #12 (**permalink**) 30/07/2008, 10:36

ComboFix detectó y eliminó ya algunos Malwares, pero todavía quedaron algunas cosas para sacar, sigue estos pasos:

1.-Abrir el Notepad

Clic en INICIO > EJECUTAR >
Y ahí pones notepad.exe y ACEPTAR

2.- Ahora copia y pega este código dentro del Notepad

Código HTML:

KillAll::

File::
C:\WINDOWS\lsas.exe

Folder::
C:\khn

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]
"lsas"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{534aaece-5060-11dd-8178-0016765b2682}]

3.- Graba este archivo con el nombre CFScript.txt

4.- Arrastrar y soltar el archivo CFScript.txt dentro del archivo ComboFix.exe como lo muestra la animación de abajo. Esto activara ComboFix nuevamente.

Reinicia y nos cuentas los resultados. junto con un nuevo reporte de ComboFix y uno de Hijackthis.

Saludos

paolamurias · #13 (**permalink**) 30/07/2008, 14:58

Hola GPastor, acá va el reporte del hijackthis

Cita:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 05:52:56 p.m., on 30/07/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Archivos de programa\Bonjour\mDNSResponder.exe
C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Archivos de programa\Eset\nod32krn.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\sttray.exe
C:\ARCHIV~1\A4Tech\Keyboard\Ikeymain.exe
C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe
C:\Archivos de programa\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Archivos de programa\eMule\emule.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\Archivos de programa\iPod\bin\iPodService.exe
C:\WINDOWS\explorer.exe
C:\Archivos de programa\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.microsoft.com/fwlink/?LinkId=74005
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: Aplicación auxiliar de vínculos de Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Archivos de programa\Archivos comunes\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Archivos de programa\Java\jre1.5.0_11\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Aplicación auxiliar de inicio de sesión - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Archivos de programa\Archivos comunes\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Archivos de programa\Google\GoogleToolbarNotifier\2.1.1119.173 6\swg.dll
O4 - HKLM\..\Run: [SigmatelSysTrayApp] sttray.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Archivos de programa\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [iKeyWorks] C:\ARCHIV~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [ISUSPM Startup] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\isuspm.exe" -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Archivos de programa\Archivos comunes\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Archivos de programa\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Archivos de programa\QuickTime Alternative\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Archivos de programa\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Archivos de programa\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DW6] "C:\Archivos de programa\The Weather Channel FW\Desktop\DesktopWeather.exe"
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Archivos de programa\eMule\emule.exe -AutoStart
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SERVICIO LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Servicio de red')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Servicio de red')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Global Startup: Adobe Gamma.lnk = C:\Archivos de programa\Archivos comunes\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: TabUserW.exe.lnk = C:\WINDOWS\system32\WTablet\TabUserW.exe
O8 - Extra context menu item: E&xportar a Microsoft Excel - res://C:\ARCHIV~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Consola de Sun Java - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Archivos de programa\Java\jre1.5.0_11\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Archivos de programa\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Referencia - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\ARCHIV~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/wind...?1211546059625
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\ARCHIV~1\ARCHIV~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Archivos de programa\Archivos comunes\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Archivos de programa\Archivos comunes\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Servicio Bonjour (Bonjour Service) - Apple Inc. - C:\Archivos de programa\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Archivos de programa\Archivos comunes\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Archivos de programa\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Servicio del iPod (iPod Service) - Apple Inc. - C:\Archivos de programa\iPod\bin\iPodService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Archivos de programa\Eset\nod32krn.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Archivos de programa\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Archivos de programa\Spyware Doctor\pctsSvc.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe

--
End of file - 7439 bytes

paolamurias · #14 (**permalink**) 30/07/2008, 15:00

y acá va el combo fix

Archivo Adjunto 428

Noté que no me sale el codigo malicioso.
estaré mejorando doctor???

Gpastor · #15 (**permalink**) 31/07/2008, 09:29

Los reportes están limpios, aunque veo que aún tienes esta carpeta C:\khn verifica su contenido y comentas los resultados.

De pronto desinstalaremos ComboFix de la siguiente manera:

Ir a Inicio > Ejecutar
Escribir lo siguiente: ComboFix /u como muestra la imagen debajo:

Esto realizara las siguientes tareas:

Se borraran:
- ComboFix: sus archivos y carpetas.
- VundoFix: copias de seguridad (si está presente)
- La carpeta C:\Deckard (si está presente)
- La carpeta C: _OtMoveIt (si está presente)
Restablece la configuración del reloj.
Ocultar extensiones de archivo (si es necesario.)
Oculta los archivos que estaban ocultos
Reactiva el "Restaurar Sistema"

Saludos

paolamurias · #16 (**permalink**) 31/07/2008, 14:14

Bueno, chicos, muchas gracias a todos, a la carpeta khn no la tengo.
ya desinstale esa medicina peligrosa, y todo anda perfecto, sin uds no hubiese sido posible!

David · #17 (**permalink**) 31/07/2008, 14:45

Me alegra que hayas logrado sacar los malware paolamurias.

Yo ya no tuve tanta suerte, la última vez que me pasó eso con un PenDrive me dió tanta rabia que reinstalé la máquina

.

Ahora, por seguridad, tengo un usuario con todo bloqueado

(hasta la ejecución de programas), de modo que abro el PenDrive con ese usuario para ver si no tiene el autorun.inf y lo borro antes de abrirlo con mi usuario Administrador.

PosicionamientoSeo · #18 (**permalink**) 31/07/2008, 17:01

Me alegro que el ordenador ya esté a salvo.

Un saludo,
Gabriel